Hackernes nye våben: Klistermærker med falske QR-koder på reklameskilte

11. december 2012 kl. 07:3813
Hackernes nye våben: Klistermærker med falske QR-koder på reklameskilte
Illustration: Privatfoto.
Næste gang du scanner en QR-kode på en plakat, skal du lige sikre, at det ikke er et klistermærke, som hackere har smækket oven på. Det er nemlig blevet en populær angrebsvej.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Det er bøvlet at indtaste webadresser på en smartphone, så derfor har QR-koderne spredt sig hastigt i landskabet, især på reklameskilte og plakater.

Men de todimensionelle stregkoder kan føre dig i en helt forkert retning, hvis der er pillet ved dem. It-kriminelle er nemlig begyndt at kliste nye koder oven på de rigtige og kan på den måde få lokket folk til at besøge websider med farlig kode. Det skriver The Register.

Problemet er, at man ikke med det blotte øje kan se, hvad en QR-kode rummer af data, men ofte tror, at det må være ganske legitimt.

Artiklen fortsætter efter annoncen

Version2 talte for nylig med Anders Nilsson, teknisk direktør hos antivirusfirmaet Eurosecure, og han nævnte også problemerne med de luskede QR-koder.

»Man ser ikke, hvor linket peger hen, når man scanner det, og så ved man ikke, hvad der sker. Et link udformet på en bestemt måde kan få en telefon til at begynde et factory reset,« forklarede han.

Ud over at tjekke for klistermærker hen over den oprindelige kode bør man derfor altid tjekke webadressen fra QR-koden, før man klikker sig videre. Er URL’en forkortet via en tjeneste som for eksempel bit.ly, kræver det dog også, at man får det forkortede link ’pakket ud’, før man kan være sikker på adressen.

13 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
12
12. december 2012 kl. 01:33

"Der findes dumme mennesker i verden, og nu har vi opdaget at der findes mennesker der udnytter dette faktum."

Det her er altså en no-news, beklager.

10
11. december 2012 kl. 18:14

Mine kammerater skal da til at sætte nogle op så hvis de er så effektive >:-)

9
11. december 2012 kl. 17:39

At den leder til en skadelig url gør den da mere ondsindet end falsk.

11
11. december 2012 kl. 19:02

At den leder til en skadelig url gør den da mere ondsindet end falsk.

Hvis den er sat op på en reklame (måske oveni den rigtige), forledes brugere til at tro at den fører til mere info om produktet. Så den kan være både falsk og ondsindet, uafhængigt af hinanden.

Basalt set svarer det at scanne en QR kode til at trykke på et ukendt link. Det giver altså anledning til at få afprøvet "godtroenheden" hos både software og brugere :-)

8
11. december 2012 kl. 13:12

Jeg kan huske at jeg i November 2011 lavede et oplæg på et mobil-sikkerheds arrangement hvor jeg netop nævnte disse QR koder - og hvordan de potentielt kunne udnyttes til andet end "gode" ting på sigt.

Lidt overrasket over at udviklingen er kommet så hurtigt til trods. Synes dog ikke jeg har set nogen eksempler i DK endnu?

4
11. december 2012 kl. 09:39

"Et link udformet på en bestemt måde kan få en telefon til at begynde et factory reset" Øh.. ja, hvis producenten ikke har en millimeter forstand på basal IT sikkerhed? Så er det sikkert rigtigt nok. I de eneste eksempler på dette (hvor en speciel SMS også kunne fabriksgendanne mobilen) som jeg har hørt om, blev der udsendt en fejlrettelse før nyheden spredte sig, så det er altså ikke noget seriøst problem og kræver bare at producenten slår den "feature" fra.

6
11. december 2012 kl. 10:08

Øh.. ja, hvis producenten ikke har en millimeter forstand på basal IT sikkerhed? Så er det sikkert rigtigt nok.
I de eneste eksempler på dette (hvor en speciel SMS også kunne fabriksgendanne mobilen) som jeg har hørt om, blev der udsendt en fejlrettelse før nyheden spredte sig, så det er altså ikke noget seriøst problem og kræver bare at producenten slår den "feature" fra.

Hvis vi et øjeblik stopper med al den her "hand-waving", så ændrer alle (bort)forklaringerne jo ikke på, at "risikobetonet adfærd" nu ikke længere indebærer at surfe efter porno og piratsoftware og lignende men også at scanne umiddelbart uskadeligt udseende QR-koder på fx Bus-reklamer.

Det synes jeg faktisk er en relativt god pointe.

Det hjælper jo ikke at producenten har lavet en opdatering til programmet, hvis den ikke installeres. Jeg oplever meget tit, at jeg ser telefoner, hvor der ligger snesevis af opdateringer klar til både OS og apps, og så opstår problemet jo.

3
11. december 2012 kl. 09:33

Må tilslutte mig Jeppe her, der er da ingen mennesker der benytter sig af QR koder.

2
11. december 2012 kl. 09:19

at der ikke er nogle der rent faktisk bruger QR koder :)

1
11. december 2012 kl. 09:15

så vidt jeg ved visser min qr scanner info, så ved ikke hvilken en de har brugt til at scanne med, der findes jo forskellige udgaver af qr scanner

13
12. december 2012 kl. 09:04

@Jesper L S

Det er jeg slet ikke i tvivl om, men derfor gør det artiklen mere præcis, når artiklen påpeger

citat: Man ser ikke, hvor linket peger hen, når man scanner citat slut: